{"id":703,"date":"2024-12-11T00:00:00","date_gmt":"2024-12-11T00:00:00","guid":{"rendered":"http:\/\/idlayr-com.stackstaging.com\/2023\/06\/30\/sms-otp-2fa-fraud\/"},"modified":"2025-06-18T16:31:41","modified_gmt":"2025-06-18T16:31:41","slug":"frode-sms-otp-2fa","status":"publish","type":"post","link":"https:\/\/idlayr.com\/it\/blog\/frode-sms-otp-2fa\/","title":{"rendered":"Il problema degli SMS OTP: Perch\u00e9 questo metodo 2FA non \u00e8 cos\u00ec sicuro come si pensa"},"content":{"rendered":"

Ogni giorno, milioni di persone si affidano alle one-time password (OTP) via SMS per accedere ai servizi, verificare le identit\u00e0 o autorizzare le transazioni. Sebbene gli SMS OTP siano diventati il metodo di autenticazione a due fattori (2FA) pi\u00f9 diffuso per la loro comodit\u00e0, sono tutt'altro che sicuri. I criminali informatici sfruttano le loro vulnerabilit\u00e0 attraverso il phishing, l'ingegneria sociale e altre tecniche di frode, mettendo gli utenti a rischio di furto d'identit\u00e0 e perdite finanziarie.<\/span><\/p>\n

 <\/p>\n

Le falle di sicurezza degli SMS OTP<\/h3>\n

Gli OTP via SMS sono molto diffusi perch\u00e9 quasi tutti possiedono un telefono cellulare, il che li rende un modo semplice per aggiungere un secondo fattore di autenticazione. Tuttavia, gli SMS non sono mai stati progettati pensando alla sicurezza. I messaggi possono essere intercettati, falsificati o manipolati, consentendo agli hacker di effettuare l'account takeover (ATO).<\/span><\/p>\n

 <\/p>\n

Attacchi comuni agli SMS OTP<\/h4>\n

 <\/p>\n

Smishing (SMS Phishing)<\/b><\/p>\n

 <\/p>\n

Lo smishing \u00e8 un attacco di phishing tramite messaggi di testo. I truffatori inviano messaggi falsi che fingono di provenire da banche, rivenditori o fornitori di servizi, invitando i destinatari a inserire i propri dati di accesso o OTP su un sito Web dannoso. Una volta inseriti, gli aggressori ottengono l'accesso completo agli account delle vittime. <\/span>Lo smishing \u00e8 stato all'origine di diverse falle di sicurezza di alto profilo, tra cui quella del <\/span>2022 Violazione dei dati di Activision<\/span><\/a>.<\/span><\/p>\n

 <\/p>\n

Attacchi Man-in-the-middle (MITM)<\/strong><\/p>\n

 <\/p>\n

Poich\u00e9 gli SMS non sono crittografati, i criminali informatici possono intercettare i messaggi utilizzando malware o reti non autorizzate. Gli hacker hanno sviluppato <\/span>botnet<\/span><\/a> che si infiltrano nei sistemi di telecomunicazione, consentendo di leggere i messaggi, tracciare le posizioni e rubare i codici di autenticazione all'insaputa degli utenti.\u00a0<\/span><\/p>\n

 <\/p>\n

Bot e kit di phishing automatizzati<\/strong><\/p>\n

 <\/p>\n

I ricercatori della Stony Brook University hanno trovato oltre 1.200 kit di phishing progettati per rubare i codici 2FA in uso. Gli aggressori utilizzano bot automatizzati per indurre gli utenti a fornire i loro OTP, consentendo transazioni fraudolente e accessi non autorizzati. <\/span>La scheda madre di Vice<\/span><\/a> ha parlato con un venditore che si vantava del fatto che questi bot possono essere utilizzati da chiunque, anche se non ha competenze di social engineering.<\/span><\/p>\n

 <\/p>\n

Frode con scambio di SIM<\/strong><\/p>\n

 <\/p>\n

Una delle minacce pi\u00f9 pericolose \u00e8 <\/span>Frode con scambio di SIM<\/span><\/a>. Gli aggressori ingannano i gestori di telefonia mobile per trasferire il numero della vittima su una nuova carta SIM sotto il loro controllo. In questo modo possono ricevere tutti gli OTP inviati a quel numero, aggirando completamente la 2FA. Le frodi di SIM swap hanno causato gravi violazioni e perdite finanziarie in tutto il mondo.<\/span><\/p>\n

 <\/p>\n

Spoofing di SMS<\/strong><\/p>\n

 <\/p>\n

Gli hacker manipolano le informazioni del mittente per far apparire i messaggi come provenienti da una fonte affidabile. Questa tecnica \u00e8 comunemente utilizzata nelle truffe bancarie, dove le vittime inseriscono inconsapevolmente le proprie credenziali su siti fraudolenti, consentendo agli aggressori di accedere ai loro conti.<\/span><\/p>\n

 <\/p>\n

Frode alle pompe via SMS: la truffa da $6,7 miliardi di euro<\/h3>\n

La frode SMS pump, nota anche come traffico artificialmente gonfiato (AIT), \u00e8 uno schema in cui i truffatori lavorano con gli insider dei provider di telecomunicazioni per generare enormi quantit\u00e0 di traffico SMS verso numeri a tariffa maggiorata. Le aziende che pagano il conto di questi messaggi fraudolenti perdono miliardi ogni anno.<\/span><\/p>\n

 <\/p>\n

Nel gennaio 2023, Elon Musk <\/span>ha dichiarato che Twitter ha perso $60 milioni di euro a causa di una frode con gli SMS<\/span><\/a>. Nel 2024 \u00e8 stato segnalato che ben <\/span>35 miliardi di messaggi fraudolenti<\/span><\/a>sono stati inviati da malintenzionati nel 2023, con un costo per le aziende di $1,16 miliardi.<\/span><\/p>\n

 <\/p>\n

Perch\u00e9 gli SMS OTP non sono pi\u00f9 efficaci<\/h3>\n

Oltre ai rischi per la sicurezza, gli SMS OTP creano attriti nell'esperienza dell'utente. Richiedono passaggi aggiuntivi, con conseguenti ritardi e frustrazione, che possono indurre gli utenti ad abbandonare le transazioni. Inoltre, poich\u00e9 gli OTP possono essere copiati, inoltrati e falsificati, non riescono a garantire una sicurezza solida.<\/span><\/p>\n

 <\/p>\n

Il futuro dell'autenticazione: Autenticazione di rete silenziosa<\/h3>\n

Un'alternativa migliore \u00e8 la Silent Network Authentication (SNA), che sfrutta la sicurezza crittografica delle carte SIM e delle reti mobili per un'autenticazione sicura e senza interruzioni. A differenza degli OTP, questo metodo \u00e8 resistente al phishing, agli attacchi MITM e alle frodi di scambio di SIM.<\/span><\/p>\n

 <\/p>\n

Come funziona<\/h4>\n

 <\/p>\n

SNA utilizza una connessione sicura e crittografata tra un dispositivo mobile e l'operatore di rete per verificare l'identit\u00e0 dell'utente. Questo elimina la necessit\u00e0 di OTP e garantisce che solo l'utente legittimo possa accedere al proprio account.<\/span><\/p>\n

 <\/p>\n

Vantaggi principali dell'autenticazione di rete silenziosa<\/h4>\n

 <\/p>\n